米国CISAの「悪用確認済み脆弱性（KEV）」と NVD（NVD）の高深刻度CVEから、重大な脆弱性を出典つきで整理します。本サイトは米国政府公式ではありません。
セキュリティ系：本ページは公開情報の一般的な整理であり、助言・保証ではありません。対応の可否・優先度はベンダー公式情報と自組織の状況でご判断ください。
深刻度・悪用状況の高い脆弱性を、要点・FAQ・出典つきで解説。
企業の人事・財務などを支えるERP「Oracle PeopleSoft」の基盤「PeopleTools」に、重要機能の認証欠落（CWE-306）の脆弱性。遠隔・認証なしの攻撃者がPeopleToolsの乗っ取りを達成しうる。CISAは悪用確認済み(KEV)として掲載し、ランサムウェアでの悪用も確認（NVD公式CVSS 9.8 Critical）。
人気のNxビルドシステム用IDE拡張「Nx Console」に悪意あるバージョンが公開され、難読化ペイロードを取得してディスク・メモリ上の認証情報（トークンや鍵）を収集。CISAは悪用確認済み(KEV)・ランサムウェアでの悪用ありとして掲載した（CVSS 9.8 Critical）。
広く使われるTanStack（React向けライブラリ群）について、悪意あるバージョンがnpmレジストリに公開され、信頼された配布元の名義で認証情報を盗むマルウェアが配られた。CISAは悪用確認済み(KEV)・ランサムウェアでの悪用ありとして掲載（CVSS 9.6 Critical）。
モバイル端末管理ゲートウェイ「Ivanti Sentry」（旧MobileIron Sentry）にOSコマンドインジェクションの脆弱性。遠隔・認証なしの攻撃者がroot権限で任意コードを実行しうる。CISAは悪用確認済み(KEV)として掲載（NVD公式CVSS 10.0 Critical）。
GoogleのJavaScriptエンジン「Chromium V8」に境界外（out-of-bounds）の読み書きの脆弱性。攻撃者が細工したHTMLページを通じて、サンドボックス内で任意コードを実行しうる。Chromiumを使う複数のブラウザ（Chrome・Edge・Opera等）に影響する。CISAは悪用確認済み(KEV)として掲載（CVSS 8.8 High）。
ネットワークスイッチのOS「Arista EOS」に、トンネル復号（デカプセル化）時の比較不備。設定した復号用IP宛ての想定外のトンネルパケットを、スイッチが誤って復号・転送しうる。CISAは悪用確認済み(KEV)として掲載（NVD公式CVSS 5.8 Medium）。
Cisco Catalyst SD-WAN Manager（旧SD-WAN vManage）の出力エスケープ不備により、認証済みのローカル攻撃者が細工したファイルでroot権限の任意コマンドを実行しうる。CISAは悪用確認済み(KEV)として掲載（NVD公式CVSS 7.8 High）。
多数のLLMプロバイダを束ねるオープンソースのLLMプロキシ「BerriAI LiteLLM」に、コマンドインジェクションの脆弱性。低権限の内部ユーザ鍵を持つ者を含め、認証済みの任意のユーザがホスト上で任意のコマンドを実行できる。CISAは悪用確認済み(KEV)として掲載（CVSS 8.8 High）。
Check Point のセキュリティゲートウェイ製品に、IKEv1鍵交換における認証バイパスの脆弱性。認証されていない遠隔の攻撃者が、有効なパスワード無しにユーザ認証を回避し、リモートアクセスVPN接続を確立できる。CISAは悪用確認済み(KEV)として掲載（CVSS 9.3 Critical）。
ファイル転送サーバSolarWinds Serv-Uに、リソース枯渇（DoS）の脆弱性。認証なしで、deflate圧縮ヘッダを使った細工POSTリクエストによりServ-Uサービスをクラッシュさせうる。CISAは悪用確認済み(KEV)として掲載（NVD公式CVSS 7.5 High）。
広く使われるホスティング管理パネル「cPanel & WHM」とWP2に、ログイン処理での認証欠如の脆弱性。認証されていない遠隔の攻撃者が管理パネルに不正アクセスできる。CISAは悪用確認済み(KEV)・ランサムウェアでの悪用ありとして掲載（CVSS 9.8 Critical）。
遠隔管理(RMM)・リモートサポートツール「ConnectWise ScreenConnect」にパストラバーサルの脆弱性。攻撃者が遠隔コード実行を行ったり、機密データや重要システムに直接影響を与えたりしうる。CISAは悪用確認済み(KEV)・ランサムウェアでの悪用ありとして掲載（CVSS 8.4 High）。
Linuxカーネルのcgroups v1「release_agent」機能に不適切な認証の脆弱性があり、権限昇格につながる。設定次第ではコンテナからの脱出に悪用されうる。2022年公表だが、CISAが2026年に悪用確認済み(KEV)として掲載（CVSS 7.8 High）。
Androidの基盤コンポーネント「Framework」に整数オーバーフローの脆弱性があり、コード実行を通じてローカルでの権限昇格につながる。Android 2026年6月のセキュリティ情報で修正。CISAは悪用確認済み(KEV)として掲載（CVSS 8.4 High）。
Oracle WebLogic Serverに、T3／IIOPプロトコル経由でネットワークアクセスできる認証不要の攻撃者が、サーバを侵害しうる脆弱性。重要データへの不正アクセスや全データへのアクセスにつながる。CISAは悪用確認済み(KEV)として掲載（CVSS 7.5 High）。
LLM/AIワークフローを視覚的に構築できる人気ツール「Langflow」に、オリジン検証の不備（過度に緩いCORS設定＋SameSite=NoneのリフレッシュトークンCookie）があり、悪意あるWebページが認証情報付きのクロスオリジン要求を成立させてトークンを奪い、最終的にコード実行・システム全体の侵害につながりうる。CISAは悪用確認済み(KEV)として掲載（CVSS 8.8 High）。
エンドポイント保護製品「Trend Micro Apex One（オンプレミス）」にディレクトリトラバーサルの脆弱性。事前認証済みのローカル攻撃者がサーバ上の鍵テーブルを改ざんし、配下のエージェントへ悪意あるコードを配布しうる。CISAは悪用確認済み(KEV)として掲載（CVSS 6.7 Medium）。
Palo Alto NetworksのファイアウォールOS「PAN-OS」に認証バイパスの脆弱性。攻撃者がセキュリティ制限を回避し、認可されていないVPN接続を確立できる。CISAは悪用確認済み(KEV)として掲載（CVSS 9.1 Critical）。
WebサーバLiteSpeed用のcPanelプラグインに権限昇格の脆弱性。任意のcPanel利用者アカウントが、root権限で任意スクリプトを実行しうる。CISAは悪用確認済み(KEV)として掲載（NVD公式CVSS 9.8 Critical）。
広く使われるオープンソースCMS「Drupal」のコアに、データベース抽象化APIを介したSQLインジェクションの脆弱性。細工した要求で権限昇格や遠隔コード実行(RCE)につながりうる。CISAは悪用確認済み(KEV)として掲載（CVSS 9.8 Critical）。
メールサーバ「Microsoft Exchange Server」に、クロスサイトスクリプティング(XSS)の脆弱性。Outlook Web Access(OWA)のWebページ生成時に、一定の条件下でブラウザのコンテキストで任意のJavaScriptが実行されうる。CISAは悪用確認済み(KEV)として掲載（CVSS 8.1 High）。
CiscoのSD-WAN製品「Catalyst SD-WAN Controller / Manager」に認証バイパスの脆弱性。認証されていない遠隔の攻撃者が認証を回避して管理者権限を奪える。CVSSは満点の10.0（Critical）。CISAは悪用確認済み(KEV)として掲載し、緊急指令(Emergency Directive 26-03)も発出している。
多数のLLMプロバイダを束ねるオープンソースのLLMプロキシ/ゲートウェイ「BerriAI LiteLLM」にSQLインジェクションの脆弱性。攻撃者がプロキシのデータベースを読み取り・改変でき、プロキシ自体と、そこが管理する認証情報（APIキー等）への不正アクセスにつながる。CISAは悪用確認済み(KEV)として掲載（CVSS 9.8 Critical）。
モバイル端末管理製品「Ivanti Endpoint Manager Mobile (EPMM)」に入力検証不備の脆弱性。管理者権限を持つ遠隔の認証済みユーザーが遠隔コード実行(RCE)を達成できる。CISAは悪用確認済み(KEV)として掲載（CVSS 7.2 High）。
Palo Alto Networks のファイアウォールOS「PAN-OS」のUser-ID認証ポータル（Captive Portal）に境界外書き込み（out-of-bounds write）の脆弱性。遠隔・認証なしの攻撃者が、細工したパケットでPA/VMシリーズのファイアウォール上にroot権限で任意コードを実行しうる。CISAは悪用確認済み(KEV)として掲載（NVD公式CVSS 9.8 Critical）。
Linux OSの中核「Linux カーネル」に、領域間での不適切なリソース移送（CWE-669）の脆弱性。すでに端末に入り込んだローカルの攻撃者が、権限昇格（より高い権限の奪取）を達成しうる。CISAは悪用確認済み(KEV)として掲載（NVD公式CVSS 7.8 High）。
CISAが「実際に悪用された」と確認した脆弱性。原文フィードの新着順です。
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
米国NVDが公表した高深刻度（CVSS 高〜緊急）の新着CVE。
This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。
